Connections Business Directory < 9.7 - Admin+ CSV Injection
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
El plugin Connections Business Directory para WordPress anterior a la versión 9.7 no valida adecuadamente algunos campos, permitiendo que usuarios con privilegios de administrador o superior inyecten código malicioso en archivos CSV que pueden ejecutarse al abrirse en aplicaciones de hojas de cálculo.
Vulnerabilidad de inyección CSV en Connections Business Directory < 9.7 donde la validación insuficiente en ciertos campos de conexión permite que usuarios autenticados con privilegios admin o superior creen cargas que ejecutan fórmulas cuando los archivos CSV exportados son procesados por aplicaciones de hoja de cálculo. El ataque requiere privilegios de administrador o elevados para inyectar contenido malicioso en los registros de conexión.